Microsoft DirectX DirectShow QuickTime 파서 원격 코드 실행 취약점 (CVE-2009-1537, KEV 등재)

1. 공식 보안 패치 적용

Microsoft에서 제공하는 누적 보안 업데이트 또는 해당 취약점 해결 패치(MS09-028 권고문 참조)를 다운로드하여 설치하십시오.

2. 임시 완화 조치 (레지스트리 Kill-bit 설정)

패치 적용이 즉시 어려운 레거시 시스템의 경우, 레지스트리를 수정하여 DirectShow가 QuickTime 파서 필터를 로드하지 못하도록 차단할 수 있습니다.

아래 텍스트를 .reg 파일로 저장한 후 실행하거나, 그룹 정책(GPO)을 통해 배포하십시오:

Windows Registry Editor Version 5.00

; QuickTime Movie Parser Filter (CLSID: {D51BD5A1-7548-11CF-A520-0080C77EF58A}) 비활성화
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{D51BD5A1-7548-11CF-A520-0080C77EF58A}]
"Compatibility Flags"=dword:00000400

*주의: 이 조치를 적용하면 Windows Media Player 등 DirectShow 기반 애플리케이션에서 QuickTime(.qt, .mov) 파일의 재생이 제한됩니다.*

본 취약점은 Windows DirectShow 멀티미디어 프레임워크의 핵심 라이브러리인 quartz.dll 내 QuickTime Movie Parser Filter에서 발생하는 입력값 검증 미흡 취약점입니다.

공격 메커니즘은 이른바 'Null Byte Overwrite(널 바이트 오버라이트)' 기법을 사용합니다. QuickTime 미디어 파일의 특정 메타데이터 구조나 헤더를 파싱하는 과정에서, 입력 데이터의 길이를 부적절하게 계산하여 메모리 상의 특정 버퍼 경계를 초과하고 널 바이트(0x00)를 덮어쓰게 됩니다. 이로 인해 프로그램의 실행 흐름(Control Flow)이 왜곡되거나 힙/스택 구조가 손상되어, 공격자가 미디어 파일 내에 삽입해 둔 악성 셸코드가 현재 로그인한 사용자의 권한으로 실행됩니다.

이 취약점은 실제 야생(In-the-Wild)에서 적극적으로 악용된 이력이 존재하며(CISA KEV 등재), 웹사이트에 악성 미디어 파일을 임베드하거나 이메일 첨부파일을 통해 유포하는 드라이브 바이 다운로드(Drive-by Download) 형태로 공격이 수행되었습니다.